sdproxy

홈 네트워크를 진정으로 제어할 수 있게 해주는 DNS 프록시입니다.

소개

저는 "빅 보이" 네트워킹 및 보안 "아레나"에서 컨설턴트로 수년간 일했습니다. DNS 보안은 제 일상 업무이자 즐겨 만지는 취미이기도 했습니다. 이제 아이들이 생겨 책임감 있는 부모가 되어야 했기에, 아이들을 위해 크고 나쁜 인터넷을 필터링하기로 스스로 나섰습니다. 그래서 sdproxy(Simple DNS Proxy)를 만들었습니다. 엔터프라이즈/빅 보이 수준의 보호/방법/정밀함을 (어느 정도) 홈 네트워크 수준으로 가져옵니다.

이 프록시는 Go로 작성되었으며 저렴한 라우터용으로 가벼운 바이너리로 컴파일됩니다. 클라우드 구독이나 월 요금은 없습니다. 모든 종류의 DNS를 지원하며 안정성을 유지하기 위한 적응형 수락 제어를 포함합니다. 거실을 위한 가볍고 (어느 정도) 강력한, 네덜란드식 정밀 설계입니다. 당신과, 하나의 실행 파일과, 하나의 yaml 파일만 있으면 됩니다.

그리고 기억하세요... 항상 DNS입니다!

참고: 이 저장소의 full_reference_config.yaml은 이 README보다 항상 최신입니다. 의문이 들면 그곳을 확인하세요.

DNS는 인터넷의 전화번호부입니다 - 네트워크의 모든 기기는 어디든 연결하기 전에 이름을 조회합니다.

sdproxy는 그 중간, 즉 라우터 위에 자리 잡고 다음에 무슨 일이 일어날지 당신이 결정하게 해줍니다: 캐시하기, 차단하기, 다른 리졸버로 라우팅하기, 고급 ML 보안 모델 적용하기, 또는 자녀별로 시간 제한 적용하기. 클라우드 구독도, 월 요금도, 다운되는 외부 서비스도 없습니다.

Go로 작성되었고 단일 바이너리로 컴파일되며, 저렴한 홈 라우터(TP-Link, GL.iNet 또는 NetGear의 OpenWrt, pfSense, OPNsense 또는 그냥 평범한 Linux 박스)에서 실행될 만큼 가볍습니다.

대안 대비 주요 장점은 KEY_ADVANTAGES.md를 참고하세요.

무엇을 하는가

모든 종류의 DNS를 지원하고 자동 업그레이드

평범한 UDP/TCP(포트 53), 암호화된 DNS-over-TLS(DoT), DNS-over-HTTPS(DoH), 그리고 DNS-over-QUIC(DoQ).

동적 DoH3 업그레이드: sdproxy는 Alt-Svc 헤더와 SVCB/HTTPS ALPN 파라미터를 네이티브로 파싱하여 표준 DoH 스트림을 고성능 HTTP/3(QUIC) 연결로 즉석에서 매끄럽게 업그레이드합니다.

Encrypted Client Hello (ECH) 및 DDR 자동 검색

TLS Server Name Indication(SNI)을 암호화하여 ISP의 심층 패킷 검사로부터 브라우징을 보호합니다.

인바운드 ECH: sdproxy는 완전한 ECH 서버로 동작하여 클라이언트 hello를 복호화하고, DDR(_dns.resolver.arpa SVCB/HTTPS) 및 /.well-known/origin-svcb / /.well-known/ech HTTPS 엔드포인트를 통해 자신의 키를 로컬 네트워크에 네이티브로 브로드캐스트합니다.
아웃바운드 ECH 자동 검색: 업스트림 제공자와 통신할 때 sdproxy는 그들의 HTTPS/SVCB 레코드(및 L7 .well-known 폴백)를 적극적으로 조회하여 ECH 키를 추출하고 TLS 핸드셰이크를 완전히 자율적으로 보호합니다.

머신러닝 DGA 탐지

네이티브의 제로 할당 Logistic Regression ML 추론 엔진이 핫 패스에서 실행됩니다. Shannon 엔트로피, 모음/자음 편향, 후행 숫자 패턴, 자음 체인을 추출하여 봇넷, 멀웨어, C2 인프라가 사용하는 알고리즘 생성 도메인(DGA)을 즉시 탐지하고 차단합니다.

데이터 유출, 터널링 및 정보 탈취기 방어

볼륨 프로파일링: 클라이언트별 또는 서브넷별 전송 바이트의 Alpha-Smoothed 지수 이동 평균(EMA)을 추적합니다. DNS를 통해 네트워크를 빠져나가는 갑작스러운 비정상적 데이터 폭주를 탐지하고 해당 클라이언트를 락프리 Penalty Box에 블랙홀 처리합니다.
서브도메인 속도 제한: 설정 가능한 시간 창 내에서 apex 도메인(eTLD+1)별로 조회된 고유 서브도메인을 추적하여 느리고 은밀한 DNS 터널링과 정보 탈취기 유출을 차단합니다.

엔터프라이즈 라우팅 및 합의 검증

sdproxy는 쿼리를 맹목적으로 전달하지 않고 업스트림을 동적으로 평가합니다.

보안 합의: 그룹 내 최대 max_secure_upstreams(기본값 5)개의 정상 서버에 동시에 쿼리합니다. 페이로드(CNAME 체인, 최종 IP 엔드포인트)를 심층 검사하며 fastest, ordered, consolidate(병합된 응답 집합) 선호를 지원하고, 업스트림이 불일치하거나 오염된 NULL-IP를 반환하면 응답을 폐기하거나 차단합니다.
최속 EMA: 모든 업스트림의 나노초 지연을 추적합니다. Epsilon-Greedy 알고리즘을 사용하여 가장 빠른 정상 리졸버에 고정하면서 쿼리의 5%를 무작위 탐색에 할당하여 복구 중인 네트워크 경로를 발견합니다.
SingleFlight 병합: 동일한 동시 캐시 미스 쿼리는 단일 아웃바운드 실행으로 매끄럽게 병합되어 Thundering Herd 스파이크를 제거합니다.

공격적인 캐싱

최근에 응답한 게 있나요? 캐시에서 제공하세요. sdproxy는 선택적 디스크 지속성을 갖춘 32개의 암호학적으로 시드된 메모리 샤드를 재부팅 간에 활용합니다. 레코드가 여전히 인기 있는 상태에서 만료되면 sdproxy는 백그라운드 프리페치를 트리거하여 기기가 캐시 미스를 눈치채지 못하게 합니다. RFC 8767 Stale-Serving과 serve_stale_infinite 장애 폴백을 완전히 지원합니다.

로컬 네트워크를 압니다

DHCP 임대 파일과 /etc/hosts를 가리키면 업스트림 리졸버를 귀찮게 하거나 LAN 쿼리를 업스트림으로 유출하지 않고 로컬 이름 조회(NAS, 프린터, Pi)에 응답합니다. dnsmasq, ISC DHCP, Kea, odhcpd와 함께 작동합니다.

기기별로 다르게 라우팅

기기의 신원을 다른 업스트림 리졸버 그룹이나 자녀 보호 프로필에 매핑합니다.

식별자: MAC 정확 일치, MAC 글롭 마스킹, IP / CIDR, ASN(Autonomous System Number), 국가 코드(IPinfo를 통한 CC:XX), 클라이언트 이름, TLS SNI(sni:), HTTP DoH 경로(path:), 리스너 포트(port:).
복합 교집합 규칙: force-and: true로 여러 식별자를 결합합니다(예: 서브넷 AND 리스너 포트).
즉시 싱크홀: 명시적 DNS 반환 코드(rcode: REFUSED, NXDOMAIN, BLOCK, DROP)를 라우팅 규칙에 직접 바인딩하여 클라이언트를 즉시 격리합니다.

자녀 보호 - 자녀별, 카테고리별

자녀별로 프로필을 설정하고 기기를 할당한 뒤 다음을 구성하세요:

스케줄 - 학기 중과 주말에 다른 시간.
시간 예산 - 분 단위 누적 추적(group 또는 device별). ALLOW, BLOCK, FREE, LOG, UNLIMITED, 그리고 임시 UNTRIGGER 창 재정의를 지원합니다.
카테고리 차단 - 공개 저장소나 로컬 파일(Domains, Hosts, AdBlock/uBlock, IP/CIDR 목록)에서 동적으로 로드되며 사전 컴파일된 바이너리 디스크 캐싱을 사용합니다.
상태 추적: 시간 추적은 DNS 하트비트 TTL을 통해 실행되고 재부팅 후에도 살아남도록 디스크에 스냅샷됩니다.

웹 관리 패널

실시간 운영을 위한 선택적, 비밀번호로 보호되는 브라우저 기반 UI(HTTP/HTTPS, 또는 DoH 포트 443에 멀티플렉싱).

선택적 카운트다운 타이머와 함께 기기 그룹을 즉시 ALLOW, BLOCK, FREE, LOG로 전환합니다.
알려진 클라이언트 및 차단: 발견된 LAN 클라이언트(IP, MAC, DHCP 이름, 무작위 MAC 배지, 실시간 Last Seen 타임스탬프)를 보고 개별 기기 또는 모든 알 수 없는/프라이버시-MAC 클라이언트를 일괄로 원클릭 차단/차단 해제합니다.
사용자 정의 규칙 및 캐시 검사기: 그룹별 또는 전역 도메인 허용/차단 규칙을 실시간으로 관리하고 브라우저에서 직접 라이브 캐시된 DNS 레코드를 검사/검색합니다.
실시간 스트리밍 쿼리 로그(SSE)와 24시간 Ring-Buffer 성능 차트를 봅니다.

DNS 리바인딩 방어

사설 또는 bogon IP(RFC1918, 루프백, 링크-로컬, ULA)를 포함하는 모든 업스트림 응답을 폐기하여 서버 측 요청 위조(SSRF)와 브라우저 피벗 공격을 방지합니다.

빠른 시작

git clone https://github.com/cbuijs/sdproxy
cd sdproxy
go build -o sdproxy .
./sdproxy --config config.yaml

Go 1.26+가 필요합니다. CGo 없음.

최소 구성

server:
  listen_udp: ["0.0.0.0:53"]

cache:
  enabled: true
  size: 1024

upstreams:
  default:
    - "udp://1.1.1.1:53"
    - "udp://9.9.9.9:53"

라우터용 빌드

# OpenWrt MIPS (TP-Link, Netgear, etc.)
GOOS=linux GOARCH=mipsle GOMIPS=softfloat go build -ldflags="-s -w" -o sdproxy .

# OpenWrt ARM (Linksys, Asus, etc.)
GOOS=linux GOARCH=arm GOARM=7 go build -ldflags="-s -w" -o sdproxy .

# OpenWrt x86_64
GOOS=linux GOARCH=amd64 go build -ldflags="-s -w" -o sdproxy .

-s -w 플래그는 디버그 심볼을 제거합니다 - 바이너리 크기를 30-40% 절약하며, 이는 작은 플래시 저장소에서 중요합니다.

구성

모든 것이 하나의 YAML 파일에 있습니다. 이 저장소의 full_reference_config.yaml은 모든 단일 옵션을 인라인으로 문서화합니다 - 그 파일이 매뉴얼입니다. 복사하고, 필요 없는 것을 제거하고, 나머지를 조정하세요.

로그 출력

2026/05/01 14:23:01 [DNS] [DoH3+ECH] 192.168.1.42 (alice-iphone) -> google.com. A | ROUTE: kids (CLIENT-NAME) | UPSTREAM: [ECH] cloudflare-dns.com (1.1.1.1) (kids) | OK | NOERROR
2026/05/01 14:23:02 [DNS] [UDP] 192.168.1.42 (alice-iphone) -> google.com. A | ROUTE: kids (CLIENT-NAME) | CACHE HIT | NOERROR
2026/05/01 14:23:05 [DNS] [DoQ] 192.168.1.10 -> nas.lan. A | ROUTE: default (DEFAULT) | LOCAL | NOERROR
2026/05/01 14:23:10 [DNS] [UDP] 192.168.1.42 (alice-iphone) -> dga-domain-xzq1.com. A | DGA INTERCEPT (Score: 98.2) | NXDOMAIN